CVE-2020-35932

El plugin Newsletter en versiones anteriores a la 6.8.2 contiene una vulnerabilidad de inyección de objetos en el manejador AJAX para 'tnpc_render_callback', que llama a la función 'restore_options_from_request' que deserializa directamente datos suministrados por el usuario desde el parámetro $_POST['options']['inline_edits']. Un atacante con permisos de nivel de suscriptor podría explotar esto enviando una solicitud POST elaborada a wp-admin/admin-ajax.php con un objeto serializado malicioso, aprovechando potencialmente métodos mágicos de librerías de terceros u otros plugins para ejecutar código arbitrario u lograr otros impactos críticos a través de una cadena de programación orientada a propiedades.

Basado en datos públicos de CVE (MITRE/NVD).